Microsoft Windows Defender ATP ログを収集する

このドキュメントでは、Azure Storage アカウントを使用して Microsoft Windows Defender ATP ログを Google Security Operations に収集する方法について説明します。このパーサーは、SYSLOG、XML、JSON 形式の Windows Defender ATP のログを処理します。これらの形式のさまざまなフィールドを統一された構造に正規化し、イベントの詳細、ユーザーデータ、プロセス情報、ネットワーク アクティビティ、セキュリティ結果などの重要な情報を抽出し、UDM にマッピングします。また、パーサーは EventID と ActionType に基づいて条件付きロジックを実行し、イベントを分類して、各イベントタイプに関連する特定の詳細情報で UDM を拡充します。

始める前に

• Google SecOps インスタンスがあることを確認します。
• 有効な Azure サブスクリプションがあることを確認します。
• グローバル管理者または Microsoft Defender Advanced Threat Hunting のロールがあることを確認します。
• Azure テナントにログインし、[サブスクリプション] > [サブスクリプション] > [リソース プロバイダー] > [Microsoft.Insights に登録] に移動します。

Azure ストレージ アカウントを構成する

1. Azure コンソールで、[ストレージ アカウント] を検索します。
2. [作成] をクリックします。
3. 次の入力パラメータの値を指定します。
   • Subscription: サブスクリプションを選択します。
   • リソース グループ: リソース グループを選択します。
   • リージョン: リージョンを選択します。
   • パフォーマンス: パフォーマンスを選択します（標準が推奨されます）。
   • 冗長性: 冗長性（GRS または LRS を推奨）を選択します。
   • ストレージ アカウント名: 新しいストレージ アカウントの名前を入力します。
4. [Review + create] をクリックします。
5. アカウントの概要を確認して、[作成] をクリックします。
6. [ストレージ アカウントの概要] ページで、[セキュリティとネットワーキング] のサブメニュー [アクセスキー] を選択します。
7. [key1] または [key2] の横にある [Show] をクリックします。
8. [クリップボードにコピー] をクリックして、キーをコピーします。
9. キーは後で使用できるように安全な場所に保存します。
10. [ストレージ アカウントの概要] ページで、[設定] のサブメニュー [エンドポイント] を選択します。
11. [クリップボードにコピー] をクリックして、Blob サービス エンドポイント URL（例: https://<storageaccountname>.blob.core.windows.net）をコピーします。
12. エンドポイント URL は、後で使用できるように安全な場所に保存します。

Windows Defender Advanced Threat Hunting のログ エクスポートを構成する

1. グローバル管理者またはセキュリティ管理者として security.microsoft.com にログインします。
2. [設定> Microsoft Defender XDR] に移動します。
3. [Streaming API] を選択します。
4. [追加] をクリックします。
5. [イベントを Azure Storage に転送する] を選択します。
6. 以前に作成したストレージ アカウントに移動します。
7. [リソース ID] をコピーして、[ストレージ アカウントのリソース ID] に入力します。
8. [イベントタイプ] をすべて選択します。
9. [保存] をクリックします。

Windows Defender Advanced Threat Hunting のログを取り込むように Google SecOps でフィードを構成する

1. [SIEM 設定] > [フィード] に移動します。
2. [新しく追加] をクリックします。
3. [フィード名] フィールドに、フィードの名前（例: Defender ATP Logs）を入力します。
4. [ソースタイプ] で [Microsoft Azure Blob Storage] を選択します。
5. [ログタイプ] として [Windows Defender ATP] を選択します。
6. [次へ] をクリックします。

7. 次の入力パラメータの値を指定します。

   • Azure URI: BLOB エンドポイント URL。
     • ENDPOINT_URL/BLOB_NAME
       • 次のように置き換えます。
       • ENDPOINT_URL: BLOB エンドポイント URL（https://<storageaccountname>.blob.core.windows.net）。
       • BLOB_NAME: blob の名前（<logname>-logs など）。
   • URI is a: ログストリームの構成（[単一ファイル] | [ディレクトリ] | [サブディレクトリを含むディレクトリ]）に応じて URI_TYPE を選択します。

   • Source deletion options: 必要に応じて削除オプションを選択します。

   • 共有キー: Azure Blob Storage へのアクセスキー。

   • Asset namespace: アセットの名前空間。

   • Ingestion labels: このフィードのイベントに適用されるラベル。

8. [次へ] をクリックします。

9. [Finalize] 画面で新しいフィードの設定を確認し、[送信] をクリックします。

UDM マッピング テーブル

さらにサポートが必要な場合 コミュニティ メンバーや Google SecOps のプロフェッショナルから回答を得ることができます。